NIS-2 Schulung für Geschäftsführer

Warum diese NIS-2 Schulung Pflicht ist

Das NIS-2-Umsetzungsgesetz (BSIG-E) verpflichtet Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen nicht nur zur Umsetzung und Überwachung von Risikomanagementmaßnahmen (§38 Abs. 1), sondern auch zur regelmäßigen Teilnahme an Schulungen (§38 Abs. 3 BSIG-E). Die Schulungspflicht ist keine Option — sie ist gesetzliche Vorschrift.

§38 Abs. 3 BSIG-E definiert drei konkrete Kompetenzbereiche, die eine Geschäftsleitungsschulung abdecken muss:

Technisches Detailwissen ist nicht erforderlich — wohl aber die Fähigkeit, fundierte strategische Entscheidungen zur Cyber- und Informationssicherheit zu treffen. Das BSI empfiehlt in seiner Handreichung vom 30.09.2025, dass eine Schulung alle drei Bereiche adressiert — ein Fokus nur auf Risikomanagementmaßnahmen würde nicht als ausreichend bewertet.

Praxis statt Theorie — Ihre Referenten sind Pentester

Diese Schulung wird von AWARE7 GmbH — einem der führenden deutschen Cybersecurity-Beratungsunternehmen — in Kooperation mit der isits AG (International School of IT Security, 20+ Jahre Weiterbildungspartner) durchgeführt.

Was das für Sie bedeutet: Ihre Referenten sind keine reinen Juristen oder Theoretiker. Sie führen Penetrationstests, ISMS-Audits und Incident-Response-Einsätze in der Praxis durch. Die Beispiele und Szenarien in der Schulung stammen aus echten Projekten — anonymisiert, aber real.

Ihr Mehrwert

• Schulungspflicht nach §38 Abs. 3 BSIG-E erfüllen — mit Dokumentation gemäß §61/§62 BSIG-E
• Alle drei BSI-Kompetenzbereiche — Risikoerkennung, Risikomanagement und Auswirkungsbeurteilung
• 10 Maßnahmen nach §30 Abs. 2 BSIG-E — mit BSI-Leitfragen zur Selbstüberprüfung
• Haftungsrisiken minimieren — belastbare Dokumentation gegenüber Aufsichtsbehörden (§§61, 62 BSIG-E)
• Keine Prüfung erforderlich — weder gesetzlich noch durch das BSI verpflichtend vorgesehen
• Praxis-Perspektive — Referenten mit Erfahrung aus echten Pentests und ISMS-Audits
• SOLL-Inhalte des BSI vollständig abgedeckt — plus ergänzende KANN-Inhalte mit Szenarien und Fallstudien

10 Risikomanagementmaßnahmen nach §30 Abs. 2 BSIG-E

Die BSI-Handreichung definiert zu jeder der zehn gesetzlichen Mindestmaßnahmen konkrete Leitfragen, die Geschäftsleitungen beantworten können müssen. Unsere Schulung vermittelt alle zehn Maßnahmen auf Management-Ebene:

Zielgruppe & Voraussetzungen

Im Sinne des NIS-2-Umsetzungsgesetzes ist „Geschäftsleitung" jede natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen oder wichtigen Einrichtung berufen ist (BT-Drs. 21/1501). Das BSI empfiehlt darüber hinaus, die Schulung auch auf quasi-äquivalente Positionen auszuweiten:

• Geschäftsführer und Vorstände — gesetzlich verpflichtet nach §38 Abs. 3 BSIG-E
• C-Level-Entscheider — COO, CFO, CTO und weitere Mitglieder der obersten Leitung
• Personen in quasi-äquivalenten Positionen — die der Geschäftsleitung zuarbeiten oder sie vertreten
• Compliance- und Risikomanagement-Verantwortliche — die die Geschäftsleitung in NIS-2-Fragen beraten

Hinweis: Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach §29 BSIG-E gelten nicht als Geschäftsleitung im Sinne dieses Gesetzes. Für diese gelten abweichende Regelungen nach §43 Abs. 2 BSIG-E.

Voraussetzungen: Keine technischen Vorkenntnisse erforderlich. Die Geschäftsleitung muss nicht so versiert sein wie die IT-Verantwortlichen — sie muss aber Cybersicherheitsrisiken sinnvoll einschätzen und entsprechende Maßnahmen treffen können.

Zertifizierung & Prüfung

Nach Abschluss der Schulung erhalten Sie eine aussagekräftige Dokumentation, die gemäß BSI-Handreichung mindestens folgendes enthält:

• Informationen zum Schulungsteilnehmenden (Name, Funktion)
• Dauer der Schulung
• Behandelte Inhalte gemäß §38 Abs. 3 BSIG-E und der offiziellen BSI-Handreichung
• Durchführung durch AWARE7 GmbH in Kooperation mit der isits AG

Diese Dokumentation ist nach §61 Abs. 1 i.V.m. §62 BSIG-E intern aufzubewahren und auf Verlangen den zuständigen Behörden bzw. „unabhängigen Stellen" vorzulegen. Bei Aufsichtsmaßnahmen des BSI wird die Einhaltung der Schulungspflicht geprüft.

Wichtig: Eine Prüfung der Schulungsteilnehmenden, um „ausreichende Kenntnisse und Fähigkeiten" zu belegen, ist weder gesetzlich noch durch das BSI verpflichtend vorgesehen. Der Schulungsnachweis selbst ist die geforderte Dokumentation.